TRADUZIONE DI CORTESIA 


Autorita Garante per la protezione del dati personal! 
Piazza di Monte Citorio n. 121 
00186 ROMA 

Dipartimento Comunicazioni e Reti Telematiche 
Rif: DCRT/GP/125145 
Data: 13 Giugno 2018 


Egregi Sig.ri 


Re: Risposta alia richiesta di informazioni del 11 maggio, 2018 

Scrivo per contro di Facebook Ireland Limited ("Facebook Ireland") in relazione alia vostra 
richiesta di informazioni ricevuta in data 11 maggio 2018 (la "Richiesta") e faccio seguito alia 
mia comunicazione del 21 maggio 2018 che rispondeva alle domande di cui ai punti (e), (f), 
(g), e (p) della Richiesta. Faccio altresi riferimento alle mie comunicazioni inviatevi il 28 
marzo 2018 e il 6 aprile 2018, le quali fornivano informazioni riguardanti talune violazioni 
avvenute in passato alia Disciplina della Piattaforma Facebook da parte di terzi, oggetto di 
attenzione dei media negli ultimi mesi. Tali questioni riguardano i servizi, gli strumenti ed i 
prodotti da noi forniti a sviluppatori terzi per la creazione da parte loro di app e servizi per 
gli utenti Facebook (la "Piattaforma Facebook" o "Piattaforma"). 

In data 6 giugno 2018, abbiamo presentato richiesta formale di estendere al 20 giugno 2018 
il termine per rispondere ai punti in sospeso presenti nella Richiesta. Non abbiamo ricevuto 
alcuna risposta a tale richiesta e, pertanto, cogliamo I'occasione per rispondere alle 
domande di cui ai punti (a), (h), (k) fino a (o) e (q) della Richiesta. Stiamo lavorando sodo per 
raccogliere le risposte alle restanti domande - ossia (b), (c), (d) e (i), (j) - e vi risponderemo a 
tali domande non appena ci sara possibile. 

Ci auspichiamo che le informazioni contenute nella presente risposta siano mantenute 
strettamente confidenziali. Facebook vi chiede inoltre, rispettosamente, che tali 
informazioni siano protette dalla divulgazione e mantenute confidenziali in ottemperanza a 
ogni legge applicabile sulla liberta di informazione. Facebook vi chiede inoltre di avvisarci e 
di darci I'opportunita di essere sentiti qualora decidiate di divulgare qualsiasi informazione 
comunicata da Facebook. 

I. GIURISDIZIONE 


Come abbiamo spiegato a codesta Autorita in precedenza, e come gia indicate nella mia 
comunicazione del 21 maggio 2018, Facebook Ireland e I'unico titolare del trattamento per 
tutti gli utenti UE del servizio Facebook, compresi gli utenti Italiani. Siamo lieti di rispondere 
alle vostre domande, riservandoci il diritto di integrare tali risposte in un secondo memento, 
se necessario. Ai fini dell'articolo 56 del GDPR, I'autorita privacy Irlandese (Irish Data 
Protection Commissioner - "IDPC") e I'autorita capofila per quanto concerne i servizi 
Facebook all'interno deN'UE. Questa risposta viene fornita su base volontaria, fermo 
restando i nostri diritti sulla giurisdizione e legge applicabile. 
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II. CAMBRIDGE ANALYTICA 


Prima di rispondere alle vostre domande specifiche, vorrei cogliere I'occasione per fornire a 
codesta Autorita informazioni piu aggiornate in nostro possesso circa I'ubicazione degli 
utenti Facebook i cui dati potrebbero essere stati condivisi dal Sig. Kogan e dalla sua societa, 
Global Science Research ("GSR"), con Cambridge Analytica/SCL Elections Limited ("SCL"). 
Sebbene I'app del Sig. Kogan, divenuta nota come "thisisyourdigitallife" ( l"App"),^ potrebbe 
avere avuto accesso ai dati degli utenti Facebook di tutto il mondo - come indicate nei 
numeri da noi forniti nella comunicazione del 6 aprile 2018 - sembrerebbe che lui abbia 
solamente condiviso con SCL dati concernenti gli utenti Facebook ubicati negli USA. Nel qual 
caso, il Sig. Kogan non avrebbe fornito a SCL dati di utenti Facebook ubicati in Italia. 

Senza lo svolgimento di accertamenti forensi, da noi bloccati su richiesta dell'autorita privacy 
del Regno Unite (UK's Information Commissioner -"ICO"), non possiamo sapere con certezza 
quali dati il Sig. Kogan avrebbe trasferito a SCL o i dati di quali utenti sarebbero stati 
trasferiti dal Sig. Kogan a SCL.^ Anche se svolgessimo tali accertamenti forensi, non 
potremmo sapere quali informazioni troveremmo (soprattutto se vi siano stati trasferimenti 
di talune tipologie di dati a SCL). Tuttavia, sia il registro pubblico che prove esistenti a nostra 
disposizione rafforzano la conclusione che il Sig. Kogan abbia fornito a SCL solamente dati di 
utenti Facebook ubicati negli USA, e non di utenti Facebook ubicati in Italia. Sebbene i 
resoconti del Sig. Kogan e di SCL presentino lievi differenze, entrambi hanno costantemente 
sostenuto nelle rispettive dichiarazioni alle autorita ed a terzi che il Sig. Kogan non avrebbe 
mai fornito a SCL dati di utenti Facebook ubicati al di fuori degli USA, Italia compresa. Tali 
asserzioni sono conformi con le prove fornite dall'individuo noto come la fonte delle storie 
comparse in origine sui media nel marzo del 2018, il Sig. Christopher Wylie.^ Infine, tali 
asserzioni conformi vengono supportate da un accordo reso pubblico tra la societa del Sig. 
Kogan e SCL e da informazioni pubbliche relative ad un secondo accordo tra di loro. 

Siamo a conoscenza di testimonianze e registri prodotti dal comitato "U.K. Flouse of 
Commons Digital, Culture, Media and Sport Select Committe" (il "Comitato Select DCMS 
UK") i quali indicano come il Sig. Kogan abbia stipulato due accordi con SCL tramite la sua 
societa, GSR. Tali registri mostrano come ciascun accordo prevedeva il trasferimento di dati 
e di punteggi sulla personalita da GSR a SCL per utenti ubicati negli USA. Parimenti, le parti 
coinvolte hanno sostenuto che i due accordi contemplavano informazioni riguardanti 
unicamente gli utenti Facebook ubicati negli USA, e che SCL non avrebbe ricevuto dati di 
persone ubicate al di fuori dagli USA. 

La "UK DCMS Select Committee" ha rilasciato un accordo firmato, datato 4 giugno 2014, tra 
GSR ed SCL.'^ Tale accordo concedeva a SCL licenza per i "dati profilati" di GSR (punteggi 
psicologici creati dai data set di Facebook) per modellare la popolazione di 11 stati USA. 
L'allegato 2 dell'accordo prevedeva che i dati "verranno allegati solamente ai registri dei file 
dei votanti...dei seguenti undid stati [U.S.A]," Arkansas, Colorado, Florida, Iowa, Louisiana, 


L'App venne originariamente denominata "CPWLab" quando fu inserita per la prima volta nella Piattaforma. II nome venne 
cambiato in "GSRApp" in data 11 giugno, 2014 e in "thisisyourdigitallife" in data 18 luglio, 2014. 

^ I registri di Facebook attualmente disponibili indicano gli utenti che hanno concesso I'autorizzazione al Sig. Kogan per 
accedere ai loro dati (e le informazioni specifiche per le quali hanno concesso I'autorizzazione), tuttavia non precisano quali 
dati siano stati effettivamente raccolti dal Sig. Kogan. Fatto ancor piu importante, Facebook non sa in che misura i dati raccolti 
dal Sig. Kogan siano stati condivisi successivamente con SCL. 

^ Si veda https://www.parliament.uk/documents/commons-committees/culture-media- 
andsport/Chris%20Wvlie%20Background%20pa pers.pdf 

'' Si veda il contribute del Sig. Wylie a pagina 67: https://www.parliament.uk/documents/commons-committees/culture-media- 
andsport/ 

Chris%20Wylie%20Background%20pa pers.pdf 
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Nevada, New Hampshire, North Carolina, Oregon, South Carolina, e West Virginia. In virtu 
del contratto, il Sig. Kogan era tenuto a comunicare a SCL dati riguardanti solamente utenti 
Facebook i quali avevano riportato la loro ubicazione nei suddetti 11 stati USA. 

Chiamato a testimoniare dinanzi al "UK DCMS Select Committee", il Sig. Kogan confermava 
tali termini contrattuali, affermando "a fine 2014, GSR comunicava a SCL i dati e le analisi 
previsti nell'Accordo; trattasi di (i) informazioni demografiche dei partecipanti a sondaggi e 
dei loro amici nei suddetti 11 stati [USA]; (ii) punteggi sulla personalita e un numero esiguo 
di previsioni per i partecipanti a sondaggi e amici in base ai dati raccolti."^ 

II secondo accordo tra GSR e SCL non e stato reso pubblico. Tuttavia, nella sua testimonianza 
scritta resa al "UK DCMS Select Committee", il Sig. Kogan descriveva tale secondo accordo di 
inizio 2015, nell'ambito del quale dichiarava di avere condiviso dati "per i partecipanti a 
sondaggi e i loro amici per tutti i 50 stati [USA]."® Sebbene la dichiarazione del Sig. Kogan 
indicavano che tale secondo accordo contemplava dati per utenti di 50 stati USA, rispetto ad 
unicamente gli 11 stati USA elencati nei primo accordo, sembrerebbe confermare che il 
secondo accordo non prevedeva il trasferimento di dati di utenti Facebook ubicati al di fuori 
degli USA. 

SCL ed i loro consulenti hanno sempre rappresentato nelle loro dichiarazioni pubbliche che i 
dati ottenuti dal Sig. Kogan si limitavano ad utenti Facebook ubicati negli USA. Pur rilevando 
che SCL ed i loro consulenti non erano a conoscenza dei dati effettivamente raccolti dal Sig. 
Kogan, i legali di Cambridge Analytica affermavano pubblicamente, "Tutto quello che puo 
essere detto da SCL o da CA e che GSR ha comunicato dati di 26 milioni di individui in 11 stati 
[USA], a SCL."^ In maniera analoga, il portavoce di Cambridge Analytica affermava durante 
una conferenza stampa, "I dati da noi presi in licenza da GSR e dal Sig. Kogan ammontavano 
fino a 30 milioni di rispondenti solamente negli USA."® E Cambridge Analytica annunciava sul 
proprio sito web che "SCL Elections otteneva in licenza SOM di registri su cittadini USA da 
GSR ma che da allora ha cancellato tutti i dati GSR e i suoi derivati... Non abbiamo preso in 
licenza alcun dato di cittadini non statunitensi da GSR."^ (sottolineatura aggiunta) 

In sintesi, sia il Sig. Kogan che SCL hanno ripetutamente e costantemente sostenuto che 
nessun dato di utenti Facebook ubicati al di fuori degli USA (ivi compresi utenti ubicati in 
Italia) e mai stato trasferito da GSR a SCL. Non vi e alcuna prova che asserisca il contrario nei 
registri pubblici o nei registri a cui abbiamo accesso. 

Per quanto concerne invece le vostre domande specifiche. 

a) fornire copia integrate dei termini e dette condizioni di servizio destinati agti sviiuppatori 
terzi vigenti att'epoca dei fatti che ci occupano, specificando te tipoiogie di dati personati 
atte quati era consentito t'accesso e se questi uitimi fossero riferiti soto agti utenti che 
entravano in contatto direttamente con i predetti sviiuppatori o anche a quetti dei toro 
"amici" e/o a quetti degti "amici" degti "amici". 


^Testimonianza scritta di Kogan a pagina 3: https://www.parliament.uk/documents/commons-committees/culture-media- 
andsport/ 

Written-evidence-Aleksandr-Kogan.pdf 
^ Id. 

^ Relazione riguardante Cambridge Analytica LLC ed SCL Elections Ltd. sezione 24: https://s3-eu-west- 

l.amazonaws.com/static.assets.commercial.prd.cambridgeanalvtica.org/static files/Malins+Report-tre-tCambridge-tAnalytica-ta 
nd-tSCL-tElections+(4.27.18).pdf 

* Si veda 24 aprile conferenza stampa delle 19:19: https://www.voutube.com/watch?v=6CqeeTEdi9l 
^ Si veda il sito web di CA: https://ca-commercial.com/news/time-facts-not-coniecture-savs-cambridge-analvtica-chief 
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Gli obbliphi imposti per I'operativita dell'App 

L'App operava sulla Piattaforma Facebook dal Novembre 2013 al Dicembre 2015. L'App 
utilizzava la funzione di Login di Facebook generalmente disponibile.“ Questo permetteva 
agli utenti di utilizzare le proprie credenziali Facebook per autenticarsi a servizi di terzi, 
nonche per trasmettere convenientemente i propri dati a fornitori di servizi terzi al fine di 
ottenere un'ampia gamma di esperienze utili, innovative, sociali e personalizzate non 
direttamente disponibili su Facebook. L'uso del Login di Facebook e soggetto ai Termini di 
Servizio e alia Disciplina della Piattaforma Facebook. 

Nel caso di specie, una volta ottenuta dal Sig. Kogan, a quante pare ha assunto la decisione - 
agendo come soggetto terzo indipendente titolare del trattamento - di trasferire taluni dati 
di utenti Facebook a SCL. Facebook non ha ne autorizzato ne acconsentito a detto 
trasferimento il quale e avvenuto in violazione della Disciplina della Piattaforma Facebook. 
Come spiegato in precedenza, non riteniamo che questo ricomprendeva dati di utenti 
ubicati in Italia. 

La Disciplina della Piattaforma Facebook in vigore in tale periodo prevedeva una serie di 
requisiti ai fornitori di app, tra cui al Sig. Kogan. II testo preciso di tali discipline venne 
modificato durante il periodo di riferimento, i testi tuttavia richiedevano sistematicamente 
quanto segue ai fornitori di app: 

• Cancellare tutti i dati personali ottenuti (tra cui i dati degli amici) su una persona su 
richiesta della stessa; 

• Utilizzare solamente i dati di amici (tra cui la lista di amici) nella esperienza che la 
persona fa dell'app; 

• Non trasferire alcun dato ottenuto (tra cui dati derivati, aggregati o anonimi) a 
provider di reti di inserzioni, broker di dati o altri servizi concernenti la 
monetizzazione o I'inserzione; e 

• Richiedere solamente i dati e le autorizzazione di pubblicazione necessarie per I'app. 

Le versioni dei nostri Termini di Servizio e della Disciplina della Piattaforma in vigore in tale 
periodo sono inclusi negli Allegati 1 e 2 rispettivamente. 

I Termini di Servizio e la Disciplina della Piattaforma attualmente in vigore sono disponibili 
nei seguenti link: 

https://www.facebook.com/legal/terms/ 

https://developers.facebook.com/policv/ 

Ai fini di chiarezza, l'uso da parte di un utente di un'app di uno sviluppatore terzo sulla 
nostra Piattaforma, e il trattamento da parte di tale app dei contenuti e delle informazioni 
dell'utente e di responsabilita dello sviluppatore, in quanto agisce come soggetto terzo 
indipendente titolare del trattamento per i dati trattati dall'app. Tale attivita di trattamento 
e soggetta alia disciplina sulla privacy dell'app stessa, che ogni applicazione e tenuta a 


https://developers.facebook.com/docs/facebook-login 
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mettere in atto con i propri utenti ai sensi della Disciplina della Piattaforma/^ Cio 
nonostante, tutte le condotte degli sviluppatori terzi rimangono soggette agli obblighi 
contrattuali previsti dalla Disciplina della Piattaforma. 

/ dati personali a cui ha accesso I'App 

Dalle informazioni attualmente disponibili, risulta che le autorizzazioni richieste dall'App 
sono cambiate nel periodo di tempo in cui operava dal Novembre 2013 a Maggio 2015, ma 
che -per quasi tutti gli utenti- I'App richiedeva il consenso per accedere ai seguenti campi di 
dati associati all'utente installante: 

• Dati del profile pubblico, tra cui nome e genere; 

• Data di nascita; 

• "Citta attuale" indicata nella sezione "altro" del profile utente, se fornito; 

• Pagine a cui I'utente ha messo mi piace; e 

• Lista di amici. 

Per un piccolissimo sottoinsieme di utenti, emerge che I'App abbia inoltre richieste il 
consenso per accedere ai loro messaggi su Facebook.^^ E per un gruppo ancor piu esiguo, 
risulta che I'App abbia richieste il consenso per accedere all'indirizzo di posta elettronica 
dell'utente, alle pubblicazioni che apparivano nella sezione "Notizie" o "Diario" dell'utente, e 
alle sue fete. (In base alle informazioni attualmente a disposizione di Facebook, meno di 10 
individui - tra cui il Sig. Kogan e altri membri del sue Cambridge University lab— hanno date 
il consenso all'App per accedere alle loro fete.) 

In base alle informazioni attualmente disponibili, emerge che -per la quasi totalita degli 
utenti- I'App abbia chiesto il consenso per ottenere le seguenti categorie di informazioni 
condivise con I'utente installante da amici dell'utente installante (a seconda e in conformita 
con le impostazioni sulla privacy di ciascun amico): 

• Dati del profile pubblico, tra cui nome e genere; 

• Data di nascita; 

• "Citta attuale" indicata nella sezione "altro" del profile dell'amico, se fornito; e 

• Pagine a cui I'amico ha messo mi piace. 

Per un piccolissimo sottoinsieme di utenti, emerge che I'App abbia inoltre chiesto il 
consenso per accedere alia citta di origine che gli amici dell'utente hanno indicate nella 


Si veda la sezione 2.4 della versione corrente della Disciplina della Piattaforma, consultabile qui: 
https://developers.facebook.com/policv 

“ II Sig. Kogan ha reso testimonianza scritta (ora pubblica) che i dati dei messaggi venivano forniti da partecipanti in studi 
formal! ed erano utilizzati per ricerche interne senza essere condivise con il gruppo SCL (che ricomprendeva Cambridge 
Analytica). Prova scritta, Sig. Kogan, Testimonianza dinanzi ai "Digital, Culture, Media and Sport Committee", alle 2 (Apr. 16, 
2018) ("In alcuni studi, abbiamo inoltre raccolto dati di messaggi privati (Stimo che approssimativamente 1000-2000 utenti 
abbiano partecipato a tali studi). I dati dei messaggi privati venivano raccolti solamente da partecipanti - non amici- e abbiamo 
chiarito in maniera esplicita nei modulo di consenso dall'inizio dello studio che avremmo raccolto tali informazioni. I messaggi 
privati erano interessanti per i nostri studi su come gli utenti manifestavano le proprie emozioni online. I dati raccolti tramite 
CPW Lab App venivano ospitati presso L'universitd di Cambridge e utilizzati per fini accademici; non venivano comunicati ai 
Gruppo SCL.’’). 
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sezione "altro" dei propri profili. E per un gruppo ancora piu ridotto, emerge che I'App abbia 
chiesto il consenso per ottenere foto dagli amici degli utenti installanti.^^ 

In sintesi, I'App non aveva accesso ad alcun dato degli utenti installanti che I'utente stesso 
non aveva scelto di condividere con I'App, ne (come spiegato in seguito) aveva accesso ad 
alcun dato di amici dell'utente installante salvo se: (1) messi a disposizione da tali amici 
all'utente installante; (2) condivisi con I'App in conformita con le impostazioni sulla privacy di 
tali amici per quanto concerne la condivisione con app terze; e (3) autorizzati dall'utente 
installante nella stessa maniera praticata regolarmente da altre piattaforme digital! tra cui i 
sistemi operativi iOS di Apple e Android di Google e relative piattaforme app. 

Nella settimana del 9 aprile 2018, abbiamo inserito un link all'inizio della sezione "Notizie" 
cosi da permettere alle persone (anche in Italia) di vedere se I'App aveva effettuato I'accesso 
alle loro informazioni.^^ 

Accesso dell'App ai dati degli amici 

La possibilita per le app di accedere ai dati di amici su Facebook di persone che utilizzano tali 
app tramite la nostra Piattaforma e cambiata nel corso del tempo. Nella versione originale 
della nostra Piattaforma ("VI"), resa disponibili alle app terze create sulla nostra Piattaforma 
dal suo lancio nel 2007 fino all'aprile del 2014, gli utenti erano in grado di autorizzare 
I'accesso da parte delle app alle loro informazioni e alle informazioni dei loro amici su 
Facebook. Per essere chiari, qualsiasi sviluppatore di app terza parte, tra cui il Sig. Kogan, 
aveva accesso unicamente ai dati a cui avevano acconsentito gli utenti che avevano 
installato I'App terza e, nel caso di amici degli utenti, ai dati cui tali amici avevano scelto di 
condividere con i loro amici su Facebook, le cui impostazioni sulla privacy (come spiegato in 
seguito) permettevano tale condivisione di dati con app utilizzate dai loro amici. 

Come spiegato nella mia comunicazione del 28 marzo 2018, Facebook introduceva 
cambiamenti nell'aprile del 2014 per limitare in maniera significativa i dati a cui app come 
quella del Sig. Kogan potevano accedere tramite il Login di Facebook. Queste azioni 
impedivano ad app come quella del Sig. Kogan I'accesso ai dati nella misura in cui erano in 
grado prima di tali cambiamenti. Nell'aprile del 2014 lanciavamo una versione aggiornata 
della nostra Piattaforma ("V2"). V2 limitava i dati di amici degli utenti a cui app terze 
present! sulla nuova piattaforma poteva accedere. App terze esistenti continuavano a 
funzionare nell'ambiente VI per un periodo di grazia di un anno (fino a maggio 2015) prima 
che I'app venisse costretta a migrare da VI a V2.^^ La conseguenza di questo cambiamento 
fu che I'App del Sig. Kogan dovette migrare alia V2 della nostra Piattaforma nel maggio del 
2015. 

Si precise che, in nessuna fase, I'App era in grado di accedere ai dati di "amici degli amici" 
tramite la nostra Piattaforma. 

Permettere agli utenti la condivisione di dati messi a loro disposizione dai propri amici ha 
reso I'esperienza dell'app piu personale e connessa. Ad esempio, un utente Facebook 


Sulla base delle Informazioni attualmente a disposizione di Facebook, meno di died individui - tra cui Kogan e altri membri di 
Cambridge lab—diedero il consenso all'App di accedere alle foto dei loro amici, sebbene tale accesso avveniva solamente se lo 
permetteva altresi I'impostazione sulla privacy dell'amico. 

“ https://newsroom.fb.eom/news/2018/04/restricting-data-access/ 

Questo periodo di grazia di un anno e usuale per modifiche sostanziali della piattaforma e assicura che app gia present! sulla 
Piattaforma abbiano una ragionevole opportunita per aggiornare le loro applicazioni per operare su V2, per evitare la "rottura" 
di decine di migliaia di applicazioni usate da milioni di persone. Anche con il periodo di grazia, questa modifica ha trovato ai 
tempo critiche sostanziali da parte della comunita di sviluppatori di app. 



7 


potrebbe voler utilizzare un'app di musica che permettergli di vedere cosa ascolta un suo 
amico o per sapere quale suo amico utilizza altresi I'app. 

E' importante tenere a mente, a tale riguardo, che Facebook, per sua propria finalita, e 
un'app sociale. A prescindere da tutte le possibilita che gli utenti hanno su Facebook per 
proteggere la loro privacy e per stabilire che tipo di informazioni vengono condivise con chi, 
la condivisioni di dati personali e la connessione e I'interazione con altri e la finalita del 
servizio. Figura al centro dell'esperienza sociale e di connettivita dell'utente cercare e 
trovare su Facebook. Consentire agli utenti di portare i propri dati e connessioni anche su 
altre app da loro utilizzate, pertanto, e una logica integrazione della natura dell'esperienza 
su Facebook^®. II valore che i nostri utenti ripongono sulla suddette possibilita viene 
evidenziato dalla dimensione e crescita della nostra base utenza nel corso del tempo. Tali 
utenti danno valore alia chiarezza offerta a loro dai servizi Facebook. 

Questo valore veniva descritto agli utenti nella Discipline sui Dati di Facebook in vigore nel 
periodo in cui I'App veniva immessa nella Piattaforma nel Novembre del 2013, il quale 
indicava quanto segue sotto la sezione "Sulla Piattaforma Facebook": 

La Piattaforma Facebook (o semplicemente la Piattaforma) si riferisce al modo in 
cui vi aiutiamo a condividere informazioni con giochi, applicazioni e siti web che 
voi e i vostri amici utiiizzate. La Piattaforma Facebook vi permette inoltre di 
portarvi appresso i vostri amici, cosi da permettervi di collegarvi con loro al di 
fuori da Facebook. In guesti due modi, la Piattaforma Facebook vi aiuta a 
rendere la vostra esperienza sul web plu personale e sociale. 

Ricardatevi che tali giochi, applicazioni e siti web vengono creati e mantenuti da 
altre aziende e sviluppatori che non fanno parte dl, ne sono controllate da, 
Facebook, pertanto dovete sempre accertarvi dl leggere i loro termini di servizio 
e discipline sulla privacy per comprendere come trattano i vostri dati. 

Congiuntamente con il valore offerto agli utenti tramite la nostra Piattaforma, Facebook 
prende (e ha sempre preso) molto seriamente i controllo offerti ai nostri utenti per 
consentirgli di decidere come e con chi desiderano condividere le loro informazioni. 
Sebbene i controlli messi a disposizione sono sviluppati e migliorati nel corso del tempo, 
Facebook e fiera di essere costantemente all'avanguardia nel contesto delle maggiori 
piattaforme quando si tratta di evoluzione dei controlli sulla privacy degli utenti. 

Dal lancio della Piattaforma Facebook nel 2007 (e per tutto il periodo di tempo in cui I'App 
era presente sulla nostra Piattaforma) gli utenti sono stati in grado di controllare, se del 
caso, a quali dei loro dati le app terze hanno effettuato I'accesso tramite la nostra 
Piattaforma. Questo comprendeva la capacita degli utenti di controllare quali dati su di loro 
venivano condivisi dai loro amici con tali app. Tutti gli utenti sono in grado di gestire i 
contenuti e le informazioni da loro condivisi quando usano Facebook (ad es. tramite le 
impostazioni sulla privacy e lo strumento di Registro Attivita), che a loro volta controllano a 
quali informazioni le app possono accedere tramite la Piattaforma. Inoltre, Facebook ha 
fornito agli utenti controlli diretti su quali, se del caso, tra i loro dati le app possono accedere 


Varie autorita di controllo hanno notato in passato che agli utenti dovrebbe essere offerta la possibilita di condividere i loro 
dati con app terze. La Commissione Europea, ad esempio, ha criticato come la mancanza di servizi e sistemi aperti e 
interoperabili e la portabilita dei dati tra servizi rappresentasse una barriera per il flusso dei dati transfrontaliero e lo sviluppo 
di nuovi servizi (si veda European Commission, A Digital Single Market Strategy for Europe, COM(2015) 192 final, p. 14). Con 
I'introduzione di Graph API VI nel 2007, Facebook Ireland aveva gia abbattuto tale barriera. 
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usando la nostra Piattaforma. Come sopra indicati, tali controlli, nonche la progettazione 
tecnica della nostra Piattaforma, si e sviluppata nel corso del tempo con I'evoluzione delle 
esperienze ed aspettative dei nostri utenti, in maniera coerente con I'evoluzione dell'intero 
ecosistema. 

Al lancio della Piattaforma nel Maggio del 2007 -- prima ancora della presenza di un Apple 
App Store -- gli utenti potevano rinunciare (opt-out) alia condivisione dei loro dati utenti 
(anche dai loro amici) con sviluppatori terzi tramite la Piattaforma, semplicemente 
selezionando la casella che segue ("Opt-out dalla Piattaforma"): 


O Do not share any information about me through the Facebook API 


Una versione dell'Opt-Out dalla Piattaforma e attualmente a disposizione degli utenti. 

Nel dicembre 2009, alia luce delle discussion! con I'Autorita Privacy Canadese ("Canadian 
Office of the Privacy Commissioner -OPC"), abbiamo introdotto ulterior! controlli sulla 
privacy per oggetto (un passo avanti rispetto ad aziende simili alia nostra) e abbiamo offerto 
agli utenti controlli granular! su quello che i loro amici potevano condividere su di loro con le 
app terze ("Apps Other Use setting"): 


What your friends can share about you through applications and websites 

When your friend visits a Facebook-enhanced application or website, they may want to share 
certain information to make the experience more social. For example, a greeting card 
application may use your birthday information to prompt your friend to send a card. 

If your friend uses an application that you do not use. you can control what types of 
information the application can access. Please r>ote that applications will always be able to 
access your publicly available information (Name. Profile Piaure. Gender. Current City, 
Networks. Friend List, and Pages) and information that is visible to Everyone. 

^ Personal info (activities, interests, etc.) 

^ Status updates 
Q Online presence 
Website 

g Family and relationship 
^ Education and work 
Q My videos 
Q My links 
gf My notes 
Q My photos 

^ Photos and videos of me 
gj About me 
My birthday 
gf My hon'>etown 

My religious ar>d political views 


Save Char>9es 


Neirapr!le del 2010, Facebook andava oltre e !ntroduceva schermate d! autor!zzaz!on! dat! 
granular! leader sul mercato ("GDP") per utent! che autorizzavano o scaricavano app, 
fornendo ulterlore trasparenza agl! utent! per quanto concerne ! dat! a cu! app terze 
potavano accedere con !l consenso - mettendo !n atto strument! per ass!curare che gl! utent! 
s!ano !n grado d! v!sual!zzare a quale categorle d! dat! le app potevano accedere: 


Su https://www.facebook.com/settings?tab=applications selezionare "Preferences" > "idpApps, websites and games" > 
"Edit" > "Turn off": 
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Request for Permission 


Yahoo! is requesting permission to do the following 



Access my basic information 

Includes name profile picture gender 
networks user 10 lis? c-T frierjs and ar> 
Other informuiten I've s''arec a :n 
f^eryore 


Post to my Wall 

Yahoo' may pos’ siatus niessagrs 
phetos. and videos ’rry .‘.a : 


□ 

1^ 


Access posts in my News Feed 
Access my data any time 

Yahoo' rrav access r'-.y data .’.hen I rr. r:: 
us nc; the ai'i'icai:'‘'i 

Access Facebook Chat 



Access my profiie information 

Likes. h'jS'C. 

AtdUt Actis ! es Ir-teres s u cur' 
Ever'ts B ’hdav rjrre''r Cu- , .- 
and Poll’ - Jl Vk .vv , 

Work Hii'-i'^anc Facecc. k S a'... 



Access my friends' information 

Currenr c ; - 

HislOrV. AOf k f * ' . 1 ' : 

facebook S'.alU' ^ •• 


F. ; 


r 




Yahool 


fi, ; ,■! Ai,; 


Logged in as Eddie 



Don't Aiiow 


In questo periodo, abbiamo inoltre migliorato le impostazioni "Apps Other Use" che 
permettevano agli utenti di controllare quali dati potevano essere condivisi dai loro amici 
con app terze parti: 
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Queste modifiche sono state accolte favorevolmente dalla OPC, la quale affermava che "la 
Commissione e soddisfatta che tali modifiche siano in linea con gli impegni assunti da 
Facebook oltre a rispettare i reguisiti previsti dalla legge privacy in Canada"}^ 

Intorno a settembre 2011, a seguito di discussion! con 11 "Federal Trade Commission", 
abbiamo avviato versione 2 della nostra GDP, la quale forniva maggiore visibilita e controllo 
all'utente circa le autorizzazioni che concedeva ad app terze, aggiungendo un selettore di 
pubblico per le pubblicazioni effettuate da un'app per conto dell'utente, nonche per 
continuare ad informare gli utenti su quali categorie di dati verranno condivisi con I'app: 



The Guardian 


A Com hwndt 
Sm all )iM> .. 


ruWic » 


a'l racfcao* app 


■Mti ycv Ircridt M ru: 
ogtV Ht . SincarPmt 
kan ttr. 

[ 

ihii ape on Facebook^ 


Co to Aop 


CaiKol 


: I I 


‘ shjre ««d«oi vo*# 

yOso OU>r 

ictr.tfy oo FMCboov 


*99 


Nel luglio de 2012, su raccomandazione dell'IDPC, abbiamo aggiunto un numero di migliorie 
all'educazione offerta ai nuovi utenti, tra cui rendere le impostazioni di "Apps Other Use" piu 
evidente e raffigurandolo in una nuova esperienza educativa a disposizione di ogni utente 
nel momento in cui effettua la registrazione su Facebook. Come raccomandato dall'IDPC, 
abbiamo inoltre introdotto uno strumento per effettuare un controllo automatizzato circa 
I'attivazione o meno del link di un app alia propria disciplina sulla privacy, per assicurare a 
tutti gli utenti la possibilita di vedere la disciplina sulla privacy dell'app al fine di ottenere 


Si veda http5://www.priv.gc.ca/en/opc-news/news-a nd-a nnouncements/2010/bg 100922/ 
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maggiori informazioni prima di autorizzare I'app stessa. E I'lDPC raccomandava a Facebook di 
migliorare gli strumenti messi a disposizione degli utenti per segnalare app a Facebook - 
includendo un pulsante di Segnalazione piu evidente nello stesso flusso dell'app - in maniera 
da permettere a Facebook di rivedere e investigare segnalazioni su condotte potenzialmente 
non idonee delle app. Nel maggio del 2013, I'lDPC emetteva la propria Relazione Annuale 
riportando come Facebook aveva implementato la maggior parte delle raccomandazioni del 
suo audit del 2011 alia Piattaforma al tempo del Re-Audit svoltosi nel 2012.^® La Relazione 
Annuale confermava inoltre che le raccomandazioni non implementate nel Re-Audit del 
2012 furono risolte in maniera soddisfacente secondo I'lDPC al tempo della sua Relazione 
Annuale. 

Nel secondo trimestre del 2013, abbiamo avviato versione 3 del nostro GDP, progettato 
specificamente per II mobile, II quale divideva le autorizzazioni di "lettura" (i.e. autorizzazioni 
che permettevano alle app di raccogliere dati da un utente Facebook) e le autorizzazioni di 
"scrittura" (i.e. autorizzazione che permetteva all'app di pubblicare dati per conto di un 
utente). Questo in risposta a feedback rilevanti da parte di utenti mirati ad ottenere 
maggiore controllo sulla capacita di app terze di pubblicare le loro attivita su un'app di 
Facebook. 

Per quanto riguarda I'App in questione, II Sig. Kogan avviava I'App nel Novembre del 2013. In 
quel periodo, operative su VI, quando un utente installava o autorizzava un'app terza, 
appariva una schermata di autorizzazioni la quale richiedeva all'utente di autenticare le sue 
credenziali di login di Facebook, e I'app terza poteva poi richiedere I'autorizzazione a tale 
utente di accedere a talune specifiche categorie di dati - e inoltre (a seconda e in conformita 
con le impostazioni "Apps Other Use" di ciascun amico) alle stesse o simili categorie di dati 
degli amici dell'utente, in linea con la versione 3 della nostra GDP. Piu in basso troverete una 
schermata mobile che mostra, in generale, come le app terze richiedevano 11 consenso agli 
utenti per accedere a specifiche categorie di dati tramite 11 Login di Facebook nel momento o 
nel periodo di avvio dell'App sulla VI della Piattaforma nel novembre del 2013. Le 
informazioni specifiche richieste nell'esempio di cui sopra potevano variare da app in app. 


Si veda: https://www.dataprotection.ie/documents/annualreports/Annual Report 2012.pdf 
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In quello stesso periodo, e per contrasto, la stragrande maggioranza del dati sulle 
piattaforme mobile di app come I'App Store di Apple e Google Play erano a disposizione di 
app installate da un utente senza alcun preavviso ne autorizzazione. 

Nell'ambito della V2 della nostra Piattaforma implementata da Aprile 2014, Facebook 
introduceva modifiche sostanziali per quanto concerne le informazioni ottenute dalle app e 
su come le app venivano riviste e autorizzate da Facebook da li in avanti. Queste modifiche 
comprendevano una sostanziale limitazione dei dati che potevano essere condivisi con app 
terze, ivi compresa la rimozione delle autorizzazioni amici per la maggior parte delle app/° e 
I'avvio di una nuova versione della schermata di autorizzazioni intorno al 30 Aprile del 2014 
con miglioramenti granular! sui controllo per la protezione dei dati.^^ Quest! controlli 
rafforzati permettevano agli utenti di rinunciare (opt-out) alia raccolta integrale dei dati (i.e. 
le persone potevano scegliere quali specifiche categorie di dati volevano condividere con 
un'app, diversamente dalle informazioni dell'utente present! su un profile pubblico, e 
potevano autorizzare un'app senza tuttavia accogliere tutte le richieste di dati da parte 
dell'app). Un esempio di schermata di autorizzazione viene riprodotta qui di seguito. 


Erano present! solo due possibili eccezioni a questa posizione dopo la transizione al V2. La prima era un set di app che 
richiedevano specificamente I dati degli amici per essere effettiva, ed erano in grado di giustificare I'accesso dopo 11 processo di 
Revisione dell'App nonche ulterior! revision! e autorizzazioni da parte del partnership team di Facebook. L'accesso dai dati degli 
amici da quelle tipologie di app sono da allora disapprovate. La seconda era un numero di partnership con compagnie che 
hanno costruito esperienze su Facebook per I loro dispositivi e software. Per poter costruire tali esperienze su Facebook quel 
partner avevano bisogno di accedere a! dati I quali, a seconda delle nature dell'esperienza, potevano includere dati di amici. Le 
nostre partnership ed I team di ingegneri erano ampiamente coinvolti (e infine autorizzavano) nell'esperienza Facebook 
costruita da tali partner. Tutti gli accord! stipulati con queste societa limitavano le modalita di utilizzo dei dati degli utenti 
Facebook in connessione con le integrazioni. Queste partnership sono in fase di disapprovazione. 

Come sopra rilevato, VI consentiva agli sviluppatori di app di richiedere il consenso per accedere alle informazioni dell'utente 
che procedeva con I'installazione - quali 11 nome, genere, data di nascita, luogo (i.e. citta attuale o luogo di nascita), foto e 
pagina seguite - e inoltre (a seconda e in conformita con le impostazioni sulla privacy di ciascun amico) le stesse o simili 
categorie di informazioni concernenti gli amici dell'utente. Questa capacita e stata significativamente limitata sulla V2. Le app 
possono ancora richiedere I'accesso alia lista di amici dell'utente e all'indirizzo di posta elettronica, tuttavia I'utente e in grado 
di scegliere di non fornire tali informazioni e al contempo di proseguire con 11 login dell'app. 
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Rdio will receive the following; your 
public profile, friend list, email address, 
birthday and likes. 

/ Edit the you provide 


A This does not let the app post to Facebook 
Cancel 


V.. 


o 


/ 


Cwrisr'? 4:21 PM 


\ Info You Provide 

Public profile (required) 

8r»dy Voss, protos picture, 21 ♦, male artd 
other public info 

Friend list 

Brandon Souba. Kaycee Voss ar>d 924 others 

Email address 
brady.vossOemail.com 

Birthday 
May 27 

Likes 

AvKa. Cape The E>eph«^. Ctassooc. Daft Pur^ O 
A This does not let the app post to Facebook 
Cancel 


O 

O 


o 


/ 


Simultaneamente e in relazione all'introduzione della V2 nel 2014, implementavamo un 
nuovo processo di autorizzazione e revisione ("Revisione deM'App") prima che I'app terza 
potesse richiedere I'autorizzazione ad accedere a informazioni non solo di base concernenti 
I'utente installante - nello specifico, qualunque dato che andava oltre II profile pubblico 
dell'utente, indirizzo email, e lista di amici che aveva installato e autorizzato la medesima 
app). Questo ha ulteriormente regolato la capacita delle app terze di accedere ai dati 
dell'utente tramite la nostra Piattaforma. 


II processo di Revisione dell'App richiedeva agli sviluppatori che avevano create app terze 
che richiedevano ulterior! informazioni agli utenti (che andavano oltre le suddette 
informazioni di base) di giustificare i dati che volevano raccogliere e come intendevano 
utilizzarli per creare una esperienza legittima di app a favore degli utenti. Solo se I'esito della 
revisione era favorevole, I'app poteva richiedere all'utente I'autorizzazione a raccogliere tali 
categorie di dati. Facebook ha manualmente rivisto e rigettato oltre la meta delle app 
sottoposte al processo di Revisione dell'App tra aprile 2014 e aprile 2018. 

Durante 11 suddetto processo di Revisione dell'App, Facebook rivedeva le autorizzazioni 
richieste dallo sviluppatore dell'app in base ai seguenti criteri: 

• le autorizzazioni di accesso richieste dall'app dovevano costituire un chiaro 
miglioramento all'esperienza dell'utente; 

• i dati raccolti da qualsiasi autorizzazione dovevano essere legati ad un uso diretto 
nell'app; 

• I'applicazione richiedeva solamente le autorizzazioni di cui aveva un reale bisogno; e 
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• occorreva effettuare un uso corretto di qualsiasi autorizzazione scritta, i.e. 
autorizzazioni per pubblicare contenuti per conto deN'utente. 

III. ACCESSO Al DATI PEGU UTENTI DI FACEBOOK DA PARTE DI TERZI 

h) fornire elenco complete del prodotti o servizi resi da Facebook in Italia destinati alle 
terze parti e agli utenti final! 

Una descrizione dei prodotti Facebook e disponibile nei seguenti link del nostro Centro 
Assistenza: 

https://www.facebook.com/help/1561485474074139 
Una descrizione degli strumenti business e disponibile qui: 

https://www.facebook.com/help/331509497253087 

IV. EVOLUZIONE DEI SERVIZI RESI DA FACEBOOK IN ITALIA 


A titolo di cortesia a codesta Autorita, su base volontaria abbiamo risposto alle domande che 
seguono. Tuttavia, e doveroso segnalare che tutte le question! che riguardano operazioni di 
trattamento transfrontaliere correnti di Facebook sono soggette al GDPR, e IDPC e I'autorita 
capofila di Facebook in relazione alle stesse. L'articolo 56(6) del GDPR stabilisce che: 
"L'autorita capofila e il solo interlocutors del titolare o del responsabUe per i trattamenti 
transfrontalieri svolti dal titolare o dal responsabUe." (Sottolineatura aggiunta) Pertanto, 
dobbiamo riservarci il diritto di indirizzare qualsiasi domanda futura relativa alle nostre 
operazioni ai sens! del GDPR all'IDPC. 

k) se I dati di ca ratters "particolare” a I sens! della disci pi Ina europea vengano utilizzati per 
attivita di profilazione degli interessati e quail garanzie vengono adottate per il loro 
trattamento. 

Comprendiamo che il vostro riferimento ad "attivita di profilazione" e un riferimento all'uso 
di dati per offrire pubblicita mirata agli utenti. In tale contesto, possiamo confermare che 
Facebook Irlanda non usa categorie particolari di dati^^ per effettuare pubblicita nell'UE (tra 
cui in Italia). 

l) quail trattamenti di tipo biometrico siano stati effettuati in passato e quail siano 
attualmente realizzati 

II solo prodotto attualmente offerto che comporta un trattamento biometrico dei dati degli 
utenti e il nostro riconoscimento facciale del prodotto. Nell'UE, questo viene effettuato 
solamente per gli utenti che hanno espressamente optato per I'uso del riconoscimento 
facciale. Gli utenti possono, in qualsiasi momento, rinunciare (opt-out) al riconoscimento 
facciale (oppure richiederlo [opt-in] a seconda delle scelte effettuate in origine) tramite le 
loro impostazioni. Prima di tale data, il riconoscimento facciale era a disposizione deli utenti 
UE solamente per il periodo tra il 2010 e il 2012, momento in cui Facebook Ireland ha 


Comprendiamo che il vostro riferimento a "dati particolari" cosi come definiti dall'articolo 9 (1) del GDPR "[...] dati che 
rivelano I'origine etnica o razziale, opinioni politiche, convinzioni religiose o filosofiche, o I'appartenenza sindacale, [...] dati 
genetici, dati biometrici, [....] dati relativi alia salute o alia vita sessuale o all'orientamento sessuale di una persona 
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volontariamente acconsentito di sospendere il prodotto di concerto con il IDPC (si vedano le 
pagine 36-39 della Relazione di Re-Audit del 2012 dell'IDPC^^). 

m) se le funzionalita per il trattamento biometrico del dati personal! sono (o siano state) 
accessibili tramite API (Application Programming Interface) anche a societa terze per 
rintegrazione nei propri servizi (App, siti web, etc.) 

No - non rendiamo disponibile la tecnologia di riconoscimento facciale a terzi tramite le 
nostre API. 

n) se I dati biometrici degli interessati siano utilizzati, e in quali casi, per identificare gli 
interessati stessi (cosiddetto confronto uno-a-molti) o per verificarne I'identita (cosiddetto 
confronto uno-a-uno); 

Attualmente usiamo solamente I dati biometrici al fine di identificare gli stessi interessati 
(i.e. quello che voi chiamate "uno-a-molti"). 

o) in cosa consista la finalita di "migliorare e sviluppare i nostri servizi per te e per le altre 
persone" mediante I'utilizzo del riconoscimento facciale 

II riconoscimento facciale pub migliorare e sviluppare i nostri servizi sia per gli utenti che lo 
richiedono (opted-in) che ad altri utenti in svariati modi. Ad esempio, un servizio richiesto 
dall'utente (opted-in) viene migliorato in quanto consente di rivedere le foto in cui egli 
potrebbe essere presente. Facebook pub inoltre sviluppare e migliorare i nostri servizi per 
altri utenti, ad esempio informando chi appare nelle foto agli utilizzatori con problem! alia 
vista. 

q) se e in quali dati vengono effettivamente e definitivamente eliminate da Facebook a 
seguito della richiesta di un utente di cancellare il proprio profilo o dell'esercizio del 
diritto di portabilita dei dati 

Se un utente desidera cancellare il proprio account, pub farlo per conto proprio in qualsiasi 
momento seguendo la procedura self-service qui di seguito descritta: 

https://www.facebook.com/help/224562897555674 

Quando un utente sceglie di cancellare il proprio account mediante lo strumento di self- 
service, per prima cosa disattiviamo I'account per 14 giorni (significa che non sara piu visibile 
a terzi nella nostra piattaforma). In questo lasso di tempo diamo all'utente la possibilita di 
cambiare idea, annullare la cancellazione e riattivare I'account prima che sia definitivamente 
cancellato (speso le persone agiscono in tal senso). 

Alio scadere del termine di 14 giorni, ha inizio il processo per la cancellazione definitive 
dell'account. 

Completato il processo i dati dell'utente vengono definitivamente cancellati dalla 
Piattaforma. 

Maggiori dettagli per quanto concerne il processo tecnico per la cancellazione dell'account si 
trovano nella sezione 2.10 della Relazione di Re-Audit dell'Autorita Privacy Irlandese ("Irish 


https://www.dataprotection.ie/documents/press/Facebook Ireland Audit Review Report 21 Sept 2012.pdf 
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Data Protection Commissioner") di Settembre 2012, nonche nella sezione 1.9.2 della 
Relazione Tecnica allegata a tale Relazione.^^ 

Per quanto riguarda 11 diritto alia portabllita, gli utenti sono In grado di scarlcare una copia 
delle loro informazionl su Facebook In qualsiasi memento (In tutto o in parte) tramite il 
nostro strumento Scarica le tue Informazloni.^^ Per poter scaricare copia dei propri dati su 
Facebook, gli utenti possono seguire i seguenti semplici passi: 

1. Vai In alto a destra sulla pagina Facebook e clicca: 

2. Clicca Impostazloni. 

3. Clicca Le Tue Informazionl su Facebook. 

4. Vai su Scarica le tue Informazionl e clicca Visualizza. 

GII utenti possono scegliere dl ottenere le loro informazionl in questo modo In formato 
HTML di facile visualizzazione, o In formato JSON per permettere ad un altro servlzio di 
importare facllmente tall dati. A scanso dl equlvocl, II rispetto del diritto alia portabillta non 
ci richlede dl cancellare Taccount utente, e noi non procediamo in tal senso a meno che 
Putente ci chieda dl cancellare II suo account (medlante la procedura dl self-service descritta 
in precedenza). 

Confidlamo che le suddette informazionl slano utili. Non esitate a contattarmi se volete 
ulterior! Informazionl o chiarimenti in merito a quando discusso, saremo molto lietl di 
rispondere alle vostre domande. 



Vi inviamo una traduzione informale della presente comunicazione pervostra comodita. 


DIstintI saluti 



Head of Data Protection, Facebook Ireland Limited 


Annex 1 - Termini di Servlzio dl Facebook in vigore da Novembre 2013 a Dicembre 2015 


Annex 2 - Disciplina della Piattaforna Facebook in vigore da Novembre 2013 a Dicembre 
2015 


^'^Ibid 

Si veda https;// www .face b ook-CQim/dyi/ ?;<- AdkRzUSh KASTZhG Q& ref errer-yf i_5 ettings 







